Czy bank odpowiada za phishing, którego skutkiem było wyprowadzenie pieniędzy z rachunku klienta? Jeśli użytkownik dał się oszukać, ponieważ zignorował wszelkie racjonalne informacje i ostrzeżenia? Czy w takim przypadku bank ma obowiązek zwrócić klientowi pieniądze? Czy jednak rażące zaniedbanie w zabezpieczeniu przez użytkownika wykorzystywanego instrumentu płatniczego zwalnia dostawcę z wszelkiej odpowiedzialności — a więc także z obowiązku natychmiastowego zwrotu nieautoryzowanej transakcji płatniczej?
wyrok Trybunału Sprawiedliwości UE z 15 października 2026 r. w/s Tukowiecka (C-70/25)
[Dyrektywa PSD2 nie pozwala na to, by] dostawca usług płatniczych mógł odmówić płatnikowi bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej, podnosząc, że płatnik poniósł stratę związaną z tą transakcją płatniczą w związku z tym, że nie dochował, wskutek rażącego zaniedbania, obowiązków [w zakresie zabezpieczenia instrumentu płatniczego].
opis stanu faktycznego:
- sprawa zaczęła się od ataku phishingowego na klientkę internetowej platformy sprzedażowej: oszust podstawił fałszywy link do płatności, użytkowniczka wpisała na spreparowanej stronie swoje dane do logowania do banku, co skończyło się oszukańczym przelewem z jej rachunku na kwotę 3 tys. zł;
- dzień później kobieta powiadomiła policję o przestępstwie i złożyła reklamację w banku;
- jednakże bank PKO BP S.A. uznał, że do oszustwa doszło tylko dlatego, że poszkodowana wykazała się rażącym zaniedbaniem w zakresie bezpieczeństwa transakcji — i na tej podstawie reklamacji nie uwzględnił;
- zatem użytkowniczka wniosła przeciwko bankowi powództwo o zwrot środków wyprowadzonych przez oszustów;
- a sąd powziął wątpliwość jak traktować przepisy o obowiązku zwrotu nieautoryzowanej transakcji spowodowanej rażącym niedbalstwem użytkownika: czy w takim przypadku bank powinien bezzwłocznie, najpóźniej do końca następnego dnia roboczego, zwrócić pieniądze — a dopiero po ustaleniu faktów miałby prawo dochodzić od klienta zwrotu strat jako wynikających z rażącego niedbalstwa? a może jednak instytucja płatnicza jest uprawniona do samodzielnej oceny zachowania klienta?
- zatem zwrócił się ze stosownym zagadnieniem, w trybie prejudycjalnym, do TSUE;
art. 73 ust. 1 dyrektywy 2015/2366 w/s usług płatniczych w ramach rynku wewnętrznego
Państwa członkowskie zapewniają, aby […] w przypadku nieautoryzowanej transakcji płatniczej dostawca usług płatniczych płatnika dokonywał na rzecz płatnika zwrotu kwoty nieautoryzowanej transakcji płatniczej, bezzwłocznie, a w każdym razie nie później niż do końca następnego dnia roboczego, po odnotowaniu danej transakcji lub po otrzymaniu stosownego zgłoszenia, z wyjątkiem sytuacji gdy dostawca usług płatniczych płatnika ma uzasadnione podstawy, by podejrzewać oszustwo, i poinformuje na piśmie o tych podstawach odpowiedni organ krajowy. […]
art. 74 ust. 1 dyrektywy PSD2
[,…] Płatnik ponosi wszelkie straty związane z nieautoryzowanymi transakcjami płatniczymi, jeżeli płatnik poniósł je, działając w nieuczciwych zamiarach lub dopuszczając się celowego lub rażącego zaniedbania co najmniej jednego z obowiązków [w zakresie zabezpieczenia instrumentu płatniczego]. W takich przypadkach nie ma zastosowania maksymalna kwota [50 euro jako graniczy odpowiedzialności].
art. 46 ust. 1 i 3 ustawy o usługach płatniczych
1. […] W przypadku wystąpienia nieautoryzowanej transakcji płatniczej dostawca płatnika niezwłocznie […] zwraca płatnikowi kwotę nieautoryzowanej transakcji płatniczej, z wyjątkiem przypadku gdy dostawca płatnika ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo, i poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw. […]
3. Płatnik odpowiada za nieautoryzowane transakcje płatnicze w pełnej wysokości, jeżeli doprowadził do nich umyślnie albo w wyniku umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia co najmniej jednego z obowiązków [mających na celu zapobieżenie naruszeniu indywidualnych danych uwierzytelniających]
wyrok TSUE:
- w wydanym dziś wyroku Trybunał podkreślił, iż obowiązek zwrotu przez dostawcę usług płatniczych kwoty wynikającej z nieautoryzowanej transakcji płatniczej jest zasadą, natomiast możliwość odmowy uwzględnienia roszczeń płatnika — wyłącznie ze względu na uzasadnione podejrzenie oszustwa, które zostało zgłoszone organom ścigania — jest wyjątkiem od reguły;
- dyrektywa o usługach płatniczych nie przewiduje natomiast możliwości odmowy bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji ze względu na rażące zaniedbanie przez użytkownika obowiązków w zabezpieczeniu instrumentu płatniczego;
Art. 73 ust. 1 dyrektywy o usługach płatniczych przewiduje tylko jedno odstępstwo od obowiązku natychmiastowego zwrotu, a mianowicie sytuację, w której dostawca usług płatniczych ma uzasadnione podstawy, aby podejrzewać oszustwo, i poinformuje na piśmie o tych podstawach odpowiedni organ krajowy
- dla odmiany unijne prawo pozwala na obciążenie klienta odpowiedzialnością za szkodę do wysokości 50 euro za nieautoryzowane transakcje dokonane przy wykorzystaniu utraconego lub skradzionego instrumentu płatniczego, jak też w przypadku działania w nieuczciwych zamiarach lub w przypadku celowego lub rażącego zaniedbania w zabezpieczeniu);
- (TSUE zauważył też, że dyrektywa pozwala na ograniczenie odpowiedzialności nawet przy braku nieuczciwych zamiarów lub celowego zaniedbania po stronie użytkownika, a to ze względu na charakter danych uwierzytelniających lub konkretne okoliczności użycia nielegalnie wykorzystanego instrumentu płatniczego — acz Polska takiego przepisu do ustawy nie wprowadziła);
- tak czy inaczej zasada jest prosta: w przypadku nieautoryzowanej płatności bank niezwłocznie zwraca pieniądze klientowi, chyba że podejrzewa oszustwo i zawiadamia o nim organy ścigania, nawet jeśli wszystko wskazuje, że użytkownik dopuścił się rażącego zaniedbania w zakresie bezpieczeństwa; jeśli owe zaniedbania się potwierdzą — bank może żądać od klienta zwrotu poniesionych strat (czyli pozywać);
- pamiętając przy tym o rozkładzie ciężaru dowodu: skoro to dostawca usługi płatniczej ma udowodnić rażące zaniedbanie po stronie klienta — to przecież nie chodzi ani o to, żeby udowadniał to sam sobie, w wewnętrznym postępowaniu reklamacyjnym, ani też o to, by zmuszać konsumenta do ponoszenia dodatkowych niedogodności.
Biorąc pod uwagę taką wykładnię TSUE orzekł, iż dostawca usług płatniczych nie jest uprawniony do odmowy bezzwłocznego zwrotu klientowi kwoty wynikającej z nieautoryzowanej transakcji spowodowanej rażącym zaniedbaniem po stronie użytkownika.
Z perspektywy stanu faktycznego sprawy będą się zapewne miały tak, że sąd uwzględni powództwo klientki i nakaże zwrot 3 tys. zł — zaś w drugim kroku bank będzie mógł pozywać kobietę o odszkodowanie, o ile oczywiście w tym nowym postępowaniu wykaże owo rażące zaniedbanie w zabezpieczeniu instrumentu płatniczego).
(O ile to roszczenie nie jest przedawnione — postanowienie odsyłające SR w Koszalinie jest ze stycznia 2025 r., ale w jego treści dat odnoszących się do zdarzenia będącego zaczynkiem sporu brak.)